论文部分内容阅读
对网络恶意行为的入侵检测是当前网络安全研究的一个重要内容。现有入侵检测系统存在着检测率不高、灵活性差、不能有效识别未知攻击和规则更新滞后等缺点，借鉴生物免疫系统原理的人工免疫系统具有并行处理、自学习和自适应等特点，具有保护计算机系统不受本地或者远程非法入侵的功能，这与入侵检测系统具有天然的相似性，引起了众多网络安全专家的注意，人工免疫系统和入侵检测系统的结合开创了一个网络安全研究新热点[1-2]。本文研究目的是改善传统免疫模型的缺陷，去解决现有入侵检测系统的不足。本文深入分析研究了现有基于人工免疫原理的入侵检测系统存在的缺陷，在Hofmeyr的分布式人工免疫系统模型人工免疫系统（ARTificial Immune System，ARTIS）基础上，提出了改进的人工免疫入侵检测模型。在改进模型中，使用具有协议分析算法（基于协议分析技术）的协同刺激模块对免疫模块进行协同刺激，以及采用基于权值的分r-连续位匹配规则，使改进模型的检测率TP从ARTIS模型的70%~75%之间，提高到80%~85%之间；使误检率FP从ARTIS模型的20%~25%之间，降低到12%~14%之间。使成熟检测器和记忆检测其的数量从ATRIS模型的240~260之间和120~130之间，降低到210~220之间和95~105之间。使用风暴型攻击检测算法（基于协议分析技术），在流量超过15M并伴有攻击的情况下，改进模型能保持一定的吞吐量，而ARTIS模型出现宕机现象。使用MIT Lincoln实验室的DARPA数据集，在网络仿真工具OPNET Modeler14.5中对改进模型和ARTIS模型进行了模拟测试实验，并作了对比分析，结果表明：改进模型提高了检测率，降低了误检率；改进模型的记忆检测器和成熟检测器的数量有所降低；改进模型在大数据流量并伴有攻击的情况下，比ARTIS模型有更高的吞吐量。协议分析技术具有性能、准确性和系统开销小等方面的优势，而人工免疫技术具有自适应性、自学习的优势，为改进模型的协同刺激模块引入基于协议分析技术的协议分析算法和风暴型攻击检测算法，使改进模型把协议分析技术和人工免疫技术的优势结合起来，通过模拟测试结果验证了改进模型的可行性和有效性。